Seminar GnuTLS PKI und X.509-Zertifikatsprüfung

Das Seminar vermittelt die belastbare Prüfung und Verwaltung von X.509-Vertrauen mit GnuTLS. Zertifikatsprofile, Kettenbildung, Trust Anchors, Namen, Verwendungszwecke, Gültigkeit, Signaturen, Constraints und Widerruf werden als zusammenhängende Vertrauensentscheidung behandelt.

Werkzeug- und API-Übungen zeigen, wie korrekte Ketten aufgebaut, fehlerhafte Ketten diagnostiziert und anwendungsspezifische Trust-Modelle ohne gefährliche Prüfverkürzungen umgesetzt werden.

Inhaltsverzeichnis

• Seminarprofil
• Lernziele
• Zielgruppe und Voraussetzungen
• 1. PKI-Modell und Zertifikatsprofile
• 2. Kettenbildung und Trust Anchors
• 3. Identität und Verwendungszweck
• 4. Zeit, Algorithmen und Constraints
• 5. Trust Stores betreiben
• 6. Prüfung mit GnuTLS-API
• 7. Widerruf und Betriebsfehler
• 8. Testmatrix und Audit
• Praxisübungen
• Einordnung in den Lernpfad

Seminarprofil

Die Inhalte sind als zusammenhängende Arbeitsstrecke aufgebaut. Fachliche Einordnung, Konfiguration beziehungsweise Implementierung, kontrollierte Prüfung und betriebliche Dokumentation greifen ineinander. Die Übungen verwenden ausschließlich Labor- und Testdaten.

Lernziele

• X.509-Objekte, Profile und Vertrauensdomänen sicher einordnen.
• Zertifikatsketten vollständig aufbauen und prüfen.
• Hostname, Zweck, Zeit und Constraints gemeinsam bewerten.
• Trust Stores und anwendungsspezifische Vertrauensanker verwalten.
• Widerruf, Fehlerdiagnose und automatisierte Negativtests umsetzen.

Zielgruppe und Voraussetzungen

Zielgruppe: PKI-Administratoren, Entwickler, Security Engineers, Systemadministratoren und Verantwortliche für Zertifikatsrichtlinien.

Voraussetzungen: TLS-Grundkenntnisse. Für API-Übungen sind C-Kenntnisse hilfreich; PKI-Vorerfahrung ist nicht zwingend.

1. PKI-Modell und Zertifikatsprofile

1. Teilnehmer, Rollen, Vertrauensdomänen und Gültigkeitsgrenzen erfassen.
2. Root-, Intermediate- und Endzertifikate nach Aufgabe trennen.
3. Schlüsselverwendung, Extended Key Usage und Namensräume festlegen.
4. Profile mit dokumentierten Pflichtfeldern und Ausschlussregeln erstellen.

2. Kettenbildung und Trust Anchors

1. Vom Endzertifikat aus mögliche Aussteller und Zwischenzertifikate ermitteln.
2. Signaturen und Ausstellerbeziehungen in korrekter Reihenfolge prüfen.
3. Vertrauensanker ausschließlich aus autorisiertem Trust Store beziehen.
4. Mehrdeutige, unvollständige und kreuzsignierte Ketten im Labor vergleichen.

3. Identität und Verwendungszweck

1. Erwartete Identität aus Verbindungs- oder Anwendungskontext bestimmen.
2. Servername oder andere Namensbindung gegen die vorgesehenen Zertifikatsfelder prüfen.
3. Key Usage und Extended Key Usage mit der tatsächlichen Rolle abgleichen.
4. Wildcard-, Mehrfachnamen- und Fehlzuordnungsfälle als Negativtest ausführen.

4. Zeit, Algorithmen und Constraints

1. Gültigkeitsbeginn, Ablauf und verlässliche Systemzeit gemeinsam kontrollieren.
2. Signatur- und Schlüsselparameter gegen die Sicherheitsbaseline prüfen.
3. Basic Constraints, Pfadlänge und Name Constraints berücksichtigen.
4. Abgelaufene, noch nicht gültige und algorithmisch unzulässige Zertifikate ablehnen.

5. Trust Stores betreiben

1. Systemweiten und anwendungseigenen Trust Store nach Eigentümer und Zweck trennen.
2. Aufnahme eines neuen Trust Anchors mit Herkunfts- und Fingerprintprüfung durchführen.
3. Verteilung, Versionsstand und Rückfall automatisieren.
4. Entfernung oder Misstrauen eines Ankers mit Auswirkungsanalyse testen.

6. Prüfung mit GnuTLS-API

1. Peer-Kette aus der Sitzung erfassen und Verifikationsfunktion aufrufen.
2. Servername und anwendungsbezogene Prüfparameter explizit setzen.
3. Statusbits in eine eindeutige Zulassungsentscheidung übersetzen.
4. Prüfdetails protokollieren, ohne Zertifikate oder Identitäten unnötig zu vervielfältigen.

7. Widerruf und Betriebsfehler

1. CRL- und OCSP-Verfahren nach Aktualität, Verfügbarkeit und Fehlerstrategie bewerten.
2. Widerrufsinformationen laden, prüfen und regelmäßig erneuern.
3. Nicht erreichbare, veraltete und widersprüchliche Statusinformationen testen.
4. Notfallentzug von Vertrauen mit Kommunikation, Rollout und Nachweis organisieren.

8. Testmatrix und Audit

1. Positivfall und alle relevanten Ablehnungsgründe als Zertifikatskorpus anlegen.
2. Werkzeug- und Anwendungsergebnis gegeneinander vergleichen.
3. Regression bei Bibliotheks-, Trust- und Policyupdates automatisieren.
4. Prüfregeln, Ausnahmen und Verantwortlichkeiten auditierbar dokumentieren.

Praxisübungen

• Aufbau und Prüfung einer mehrstufigen Zertifikatskette.
• Negativtestmatrix für Namen, Zeit, Zweck, Trust und Constraints.
• Anwendungsspezifischer Trust Store mit Aufnahme, Rollback und Misstrauen eines Ankers.

Einordnung in den Lernpfad

Empfohlen nach Grundlagen. Anschließend folgen Zertifikatsmanagement, API-Entwicklung, Hardware-Schlüssel oder Sicherheitshärtung.